CVE-2022-21668

pipenv es una herramienta de flujo de trabajo de desarrollo de Python. A partir de la versión 2018.10.9 y versiones anteriores a 2022.1.8, un defecto en el análisis de archivos de requisitos de pipenv permite a un atacante insertar una cadena especialmente diseñada dentro de un comentario en cualquier lugar dentro de un archivo requirements.txt, lo que causará que las víctimas que usan pipenv para instalar el archivo de requisitos descarguen dependencias de un servidor de índice de paquetes controlado por el atacante. Al insertar código malicioso en los paquetes servidos desde su servidor de índice malicioso, el atacante puede desencadenar una ejecución de código remota (RCE) arbitraria en los sistemas de las víctimas. Si un atacante es capaz de ocultar una opción maliciosa "--index-url" en un archivo de requisitos que una víctima instala con pipenv, el atacante puede insertar código malicioso arbitrario en paquetes servidos desde su servidor de índice malicioso que será ejecutado en el host de la víctima durante la instalación (ejecución de código remota/RCE). Cuando pip instala desde una distribución de origen, cualquier código en el archivo setup.py es ejecutado por el proceso de instalación. Este problema está parcheado en versión 2022.1.8. El aviso de seguridad de GitHub contiene más información sobre esta vulnerabilidad